频道栏目
首页 > 安全 > 网络安全 > 正文

世界杯外围投注官网

2018-06-22 14:57:55      个评论      
收藏   我要投稿

一、背景介绍

恶意程序KillDisk最新变种袭击银行系统。国外某安全厂商捕获到了一例KillDisk最新的变种样本,此样本已经感染了国外某家银行系统,数千台电脑及服务器系统被破坏,导致银行的SWIFT转帐系统无法正常使用。

KillDisk是由一个叫[TeleBots]的黑客团伙开发的,是一款破坏性的恶意程序,它专门用于擦除受害者硬盘上的文件,最近几年发展为勒索软件的功能,2015年被利用于针对乌克兰进行的APT攻击之中,旨在破坏乌克兰的电力和能源系统,去年曾发现它的一个变种用于Linux下的勒索病毒,最近又被发现利用攻击某国银行的转帐系统的主机。

深信服EDR安全团队,密切关注此破坏性病毒的最新进展,并第一时间拿到相关的恶意样本,进行了深入的分析研究,并能有效检测防御此类恶意样本。

二、样本分析

(1)样本图标如下:

\

(2)通过查壳,发现它使用了VMProtect v.2.07 – X.X进行加壳了,如下:

\

(3)样本加载之后,如下所示:

\

(4)样本使用VMP2.0.7版本的壳,对VMP进行动态跟踪,可以到达加壳程序的内部,如下:

\

(6)查看程序中的相关字符串信息,如下:

\

(7)查看反汇编世界杯外围投注网站,可以看到一些关于MBR Kill Setup的世界杯外围投注网站段,如下:

\

(8)动态调试,跟踪安装感染MBR的世界杯外围投注网站,如下:

\

(9)通过调用释放在临时目录下的System.dll导出函数Call进行安装感染,如下:

\

System.dll导出函数Call,如下:

\

(10)通过遍历\\.\PHYSICALDRIVE%d进行修改感染,如下:

\

(11)通过System.dll中的Call函数,调度CreatFileA读取MBR扇区,获取MBR扇区的文件句柄,如下:

\

(12)通过WriteFile函数修改MBR,如下:

\

(13)遍历磁盘完成之后,然后通过ExitWindowsEx函数来重启主机。

\

三、预防措施

同时深信服EDR安全团队提醒世界杯体育投注平台:

1.不要点击来源不明的邮件以及附件

2.及时给电脑打补丁,修复漏洞

3.不从垃圾网站或不明网站下载软件

4.安装专业的终端/服务器安全防护软件

四、相关IOC

MD5

C1831BAA5505F5A557380E0AB3F60F48

9E33143916F648EC338F209EB0BD4789

上一篇:FLASH零日漏洞CVE-2018-5002在中东地区的定向网络攻击解析
下一篇:【勒索病毒样本】Scarab勒索病毒变种来袭
相关文章
图文推荐

关于我们 | 联系我们 | 服务 | 投资合作 | 版权申明 | 在线帮助 | 网站地图 | 作品发布 | Vip技术培训 | 举报中心

版权所有: 红黑--致力于做实用的IT技术学习网站